최신 애플리케이션의 다양한 인증 방법 완벽 정복

 

 

안녕하세요! 오늘은 현대 애플리케이션에서 사용자의 신원을 확인하고 보호하는 핵심적인 기술, 바로 '인증'에 대해 자세히 알아보겠습니다. 사용자가 시스템에 접근하기 위한 첫 번째 관문인 인증의 다양한 방법과 각각의 특징을 상세히 설명해 드리겠습니다. [00:54]

인증이란 무엇일까요?

인증(Authentication)은 시스템이 요청을 보낸 사용자의 신원을 확인하고, 해당 사용자가 시스템에 접근할 자격이 있는지 판단하는 과정입니다. [00:31] 우리가 흔히 경험하는 로그인 과정이 바로 인증의 대표적인 예시죠. 사용자가 아이디와 비밀번호를 입력하면, 시스템은 이 정보가 올바른지 확인하여 접근을 허용하거나 거부하게 됩니다. [00:39]

주요 인증 방법 알아보기

1. 기본 인증 (Basic Authentication)

• 작동 방식: 사용자 이름과 비밀번호를 Base64로 인코딩하여 매 요청마다 함께 전송하는 가장 기본적인 방식입니다. [01:15]
• 단점: Base64 인코딩은 쉽게 디코딩될 수 있어, HTTPS와 같은 보안 프로토콜로 감싸지 않으면 매우 취약합니다. [01:24]
• 현재: 보안상의 이유로 현재는 거의 사용되지 않으며, 주로 회사 내부 도구 등 제한적인 환경에서만 찾아볼 수 있습니다. [01:33]

2. 베어러 토큰 (Bearer Tokens)

• 작동 방식: 사용자 이름과 비밀번호 대신, '액세스 토큰'이라는 특별한 열쇠를 발급받아 각 요청에 포함하여 보내는 방식입니다. [01:40] API는 이 토큰의 유효성을 검사하여 요청을 처리합니다. [01:49]
• 장점: 빠르고, 각 요청이 독립적으로 처리되는 '상태 비저장(stateless)' 방식이라 API 확장에 유리합니다. 이 때문에 현대 API 설계의 표준으로 자리 잡았습니다. [02:10]

3. OAuth 2 인증 및 JWT 토큰 (OAuth 2 Authentication & JWT Tokens)

• 작동 방식: 사용자가 직접 우리 서비스에 가입하는 대신, 구글이나 깃허브(GitHub)와 같은 신뢰할 수 있는 외부 서비스를 통해 로그인할 수 있도록 하는 프로토콜입니다. [02:23]
• 프로세스: 사용자가 구글 로그인을 선택하면, 구글은 해당 사용자의 정보(ID, 이메일, 이름 등)가 담긴 JWT(JSON Web Token)를 우리 앱으로 보내줍니다. [02:35]
• 장점: JWT 역시 베어러 토큰처럼 상태를 저장하지 않아 서버 부담이 적고 확장성이 뛰어납니다. [03:03]

4. 액세스 토큰과 리프레시 토큰 (Access & Refresh Tokens)

• 개념: 최신 시스템들은 보안 강화를 위해 두 종류의 토큰을 사용합니다.
  • 액세스 토큰: 수명이 짧으며, API를 호출하여 데이터를 가져올 때 사용됩니다. [03:40]
  • 리프레시 토큰: 수명이 길며, 액세스 토큰이 만료되었을 때 새로운 액세스 토큰을 발급받는 용도로만 사용됩니다. [03:55]
• 장점: 이 방식을 통해 사용자는 번거롭게 다시 로그인할 필요 없이 서비스를 계속 이용할 수 있고, 시스템은 토큰을 자주 갱신하여 보안을 유지할 수 있습니다. [04:08] 보안을 위해 리프레시 토큰은 서버 측에 안전하게 보관하는 것이 중요합니다. [04:15]

5. 싱글 사인 온 (Single Sign-On, SSO) 및 식별 프로토콜

• 개념: SSO는 한 번의 로그인으로 여러 관련 서비스에 모두 접근할 수 있게 해주는 편리한 기능입니다. [04:29] 구글에 로그인하면 Gmail, 드라이브, 캘린더를 모두 사용할 수 있는 것이 대표적인 예시입니다. [04:37]
• 주요 프로토콜:
  • SAML (Security Assertion Markup Language): XML 기반의 프로토콜로, 주로 기업 환경의 레거시 시스템에서 많이 사용됩니다. [05:00]
  • OAuth 2: JSON 기반의 현대적인 프로토콜로, 최신 애플리케이션의 소셜 로그인 기능에 널리 사용됩니다. [04:52]
  • 이러한 프로토콜들은 앱과 앱 사이에서 사용자의 로그인 정보를 안전하게 주고받는 규칙을 정의합니다. [05:16]

인증 vs 권한 부여

마지막으로, '인증'과 자주 혼동되는 '권한 부여(Authorization)'의 차이점을 짚고 넘어가겠습니다.

• 인증(Authentication): "당신은 누구인가요?"를 확인하는 과정입니다. [05:24]
• 권한 부여(Authorization): "당신이 할 수 있는 일은 무엇인가요?"를 결정하는 과정입니다. 즉, 인증을 통과한 사용자가 시스템 내에서 어떤 데이터에 접근하고 어떤 작업을 수행할 수 있는지 권한을 정해주는 단계입니다. [05:37]

오늘 알아본 다양한 인증 방법들이 여러분의 서비스 개발과 보안에 대한 이해를 높이는 데 도움이 되었기를 바랍니다!

---

https://bytebytego.com/guides/session-cookie-jwt-token-sso-and-oauth-2/